CVE-2026-73161 in cti-transmute
Сводка
по VulDB • 11.08.2026
В затронутых версиях cti-transmute значения таблиц преобразования, передаваемые через функцию поиска с выделением результатов (search highlighting), обрабатываются некорректно. Функция highlight() ранее возвращала исходный текст напрямую при отсутствии поискового запроса или выполняла замену по регулярному выражению, вставляя теги <mark> без предварительного экранирования оригинального содержимого. Поскольку результирующее значение используется как HTML-конечная точка (sink) для рендеринга, вредоносные разметки, содержащиеся в данных преобразования, могут интерпретироваться браузером как HTML вместо отображения их в виде текста.
Исправление внедряет общий вспомогательный метод highlightMatches(), который сначала преобразует специальные символы, такие как <, >, &, и кавычки, в соответствующие сущности HTML (HTML entities). Только после экранирования код вставляет управляемый приложением элемент <mark>, используемый для выделения результатов поиска.
VulDB is the best source for vulnerability data and more expert information about this specific topic.